BACKDOOR.JAVA.JACKSBOT.AA

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成し実行します。

• %Application Data%\Java.jar <- main jRAT server module

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Java = "{java installation path}\javaw.exe" –jar “%Application Data%\Java.jar"

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• View System Information:
  • Memory (RAM)
  • Processors
  • Latency
  • Username
  • Computer Name
  • OS Information
  • Country
  • Java Version
  • Antivirus Installed
  • Firewall Installed
  • LAN Information
  • System Usage
  • System Locales
  • Environment Variables
  • System Properties
  • Disk Drives
  • Display Information
  • Network Adapter
• DDOS
• Elevate Permission
• Open Website
• Random Mouse Movements
• Play sounds (Beep, Wav, Text Speech)
• Display Message Box / Chat Window
• Drain CPU
• Remote Command Shell
• Create New Process
• Modify Hosts File
• Modify Registries
• List Installed Programs
• Manipulate Startup Registries / Services
• View Screen
• Capture Sound
• Download and execute malicious scripts
• File Manipulation
• View uTorrent Downloads
• View FileZilla Connections
• Copy Clipboard
• Download Files
• View connected LAN Computers
• View Active Ports
• View Net Gateway
• Shutdown, restart, hibernate, lock, logout machine
• Load Plugins (Keylogger, Webcam)
• Update and uninstall itself

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• {BLOCKED}.{BLOCKED}.229.216:5050